安全测试 - 同源策略

同源策略(SOP)是Web应用程序安全模型中的一个重要概念.

什么是同源策略？

按照此策略允许在源自同一站点的页面上运行脚本，这些页面可以是以下和组合的组合;

• 域

• 协议

• 端口

示例

这种行为背后的原因是安全性.如果你在一个窗口中有 try.com 而在另一个窗口中有 gmail.com ，那么你不希望try.com的脚本访问或修改gmail的内容.com或代表您在gmail的上下文中运行操作.

以下是来自同一来源的网页.如前所述，同一来源需要考虑域/协议/端口.

• https://img01.yuandaxia.cn/Content/img/tutorials/security_testing/

• 内容/img/tutorials/security_testing//

• 内容/img/tutorials/security_testing//my/contact.html

以下是来自不同来源的网页.

• http://www.site. co.uk(另一个域名)

• http://site.org(另一个域名)

• https://site.com(另一个协议) )

• http://site.com:8080(另一个端口)

同源策略IE的例外情况

Internet Explorer有两个主要的SOP例外.

• 第一个是与'Trusted Zones'相关.如果两个域都在高度可信区域中，则同源策略不完全适用.

• IE中的第二个例外与端口有关. IE不包含进入Same Origin策略的端口，因此https://img01.yuandaxia.cn/Content/img/tutorials/security_testing/和http://wesite.com:4444被认为来自同一个来源，并且不会应用任何限制.